في خضم سباق الذهب الجديد نحو الذكاء الاصطناعي، يتسابق الجميع لتبني أدوات الـAI في جميع جوانب الأعمال. لكن وسط هذا الحماس التقني، يغفل كثير من المؤسسات عن حقيقة صادمة: وكلاء الذكاء الاصطناعي اليوم لا يتصرفون كأدوات مجردة، بل كموظفين رقميين يتمتعون بصلاحيات جذرية على الأنظمة، دون رقابة كافية أو ضوابط أمنية صارمة.
فمع تبني الشركات لنماذج اللغة الكبيرة (LLMs) وتكامل الأدوات التجارية مثل OpenAI وAnthropic ضمن الأنظمة الحيوية، تظهر نقطة ضعف جديدة لا تُحمد عواقبها: الهوية الرقمية لكل نقطة دخول في الـAI أصبحت سطح هجوم محتمل. وعلى الرغم من أهمية السرعة في التطوير، فإن تجاهل أمان الهوية وأجهزة الوصول قد يحول الذكاء الاصطناعي إلى بوابة خلفية للبيانات الحساسة.
تجاوز الذكاء الاصطناعي التوليدي مرحلة الضجة الإعلامية، ودخل طور التطبيق المؤسسي الفعلي. فالمؤسسات باتت:
-
تعتمد على “كو-بايلوتات” (LLM Copilots) لتسريع تطوير البرمجيات
-
تُؤتمت سير العمل في خدمات العملاء من خلال وكلاء ذكيين
-
تدمج الذكاء الاصطناعي في العمليات المالية وصنع القرار
لكن مع هذا التسارع، يغفل كثيرون عن حقيقة أساسية:
كل نقطة وصول إلى نماذج اللغة الكبيرة (LLMs) أو كل تكامل مع منصة ذكاء اصطناعي، تُنشئ حافة هوية جديدة، تُضيف مزيدًا من المخاطر ما لم تُفرض ضوابط صارمة على الهوية ووضع الجهاز.
مأزق البناء أو الشراء في الذكاء الاصطناعي
تواجه المؤسسات خيارًا مصيريًا:
-
البناء: تطوير وكلاء داخليين مخصصين للأنظمة وسير العمل الداخلي
-
الشراء: اعتماد أدوات ذكاء اصطناعي جاهزة وتكاملات SaaS
لكن سطح الهجوم لا يُفرّق بين الخيارين.
فالوكلاء المبنيون داخليًا يوسّعون سطح الهجوم إن لم تُطبّق سياسات التحكم بالوصول وهوية الجهة المنفذة أثناء التشغيل.
أما الأدوات الجاهزة، فكثيرًا ما تُستخدم بشكل خاطئ أو يُصل إليها من حسابات شخصية لموظفين، ما يخلق فجوات في الحوكمة.
المعضلة الحقيقية ليست في “الخوارزمية”، بل في هوية الجهة أو الجهاز المتفاعل معها، وما الصلاحيات التي تُفتح نتيجة ذلك.
ما المخاطر الحقيقية؟
الوكلاء المعتمدون على الذكاء الاصطناعي ليسوا أدوات ساكنة، بل وكلاء “فاعلون” يتخذون قرارات وينفذون إجراءات نيابة عن المستخدم. وغالبًا ما يُدمجون في أنظمة شديدة الحساسية مثل:
-
مستودعات الشيفرات البرمجية
-
تطبيقات الموارد المالية والرواتب
-
صناديق البريد الإلكتروني
-
أنظمة إدارة علاقات العملاء (CRM) وتخطيط موارد المؤسسات (ERP)
-
سجلات دعم العملاء وسوابقهم
وحين يُخترق أحد المستخدمين أو الأجهزة، يصبح وكيل الذكاء الاصطناعي بمثابة “باب خلفي سريع” نحو البيانات الحساسة.
نواقل التهديد الخاصة بالذكاء الاصطناعي
-
هجمات تستهدف الهويات مثل سرقة بيانات الاعتماد أو اختطاف الجلسات
-
وكلاء خاطئون أو بإعدادات صلاحيات مفرطة دون تقييد عبر التحكم بالوصول المبني على الأدوار (RBAC)
-
ضعف تكامل الجلسات، حيث تطلب الأجهزة المصابة تنفيذ إجراءات حساسة عبر LLMs
كيف تحصّن وصول مؤسستك إلى الذكاء الاصطناعي؟
لحماية المؤسسة من دون إعاقة الابتكار، ينبغي اتباع الخطوات التالية:
-
فرض مصادقة متعددة العوامل مقاومة للتصيّد لكل مستخدم وجهاز يصل إلى LLMs أو واجهات برمجة التطبيقات الخاصة بالوكلاء
-
تحديد دقيق لصلاحيات الوصول عبر RBAC بما يتناسب مع دور العمل – فلا يجب أن يصل المطورون إلى نماذج مالية مثلًا
-
فرض الثقة المستمرة بالجهاز عبر إشارات مأخوذة من أدوات الحماية الطرفية (EDR)، وإدارة الأجهزة المحمولة (MDM)، وشبكات الثقة المعدومة (ZTNA)
ضبط الوصول إلى الذكاء الاصطناعي لا يجب أن يكون تحققًا لمرة واحدة عند تسجيل الدخول، بل محرك سياسات حي يعكس حالة الهوية والجهاز في لحظتها.
قائمة التحقق لتأمين الذكاء الاصطناعي
-
لا أسرار مشتركة
-
لا افتراضات حول “ثقة الجهاز”
-
لا وكلاء بصلاحيات مفرطة
-
لا تعطيل للإنتاجية
الحل: أمان فعّال دون إبطاء الأداء
يمكنك أن تحمي مؤسستك دون التضحية بالسرعة. من خلال بنية تحتية صحيحة، يمكن:
-
حظر المستخدمين والأجهزة غير المصرح بها تلقائيًا
-
القضاء على افتراضات الثقة في كل طبقة
-
تأمين سير العمل بالذكاء الاصطناعي دون التأثير على الاستخدام المشروع
وهذا ما تتيحه شركة Beyond Identity اليوم.
حلّ Beyond Identity لحوكمة الذكاء الاصطناعي
من خلال منصة إدارة الهوية والوصول (IAM) الخاصة بـ Beyond Identity، يصبح الوصول غير المصرح به إلى أنظمة الذكاء الاصطناعي مستحيلًا. حيث تُطبّق سياسات وصول صارمة مقاومة للتصيّد، واعية بالجهاز، ومستمرة – دون كلمات مرور، دون أسرار مشتركة، ودون أجهزة غير موثوقة.
كما تعمل الشركة على نموذج آمن لتصميم وكلاء الذكاء الاصطناعي الداخليين، يربط صلاحيات الوكيل بهوية المستخدم ووضع الجهاز في لحظته، ويطبّق RBAC أثناء التشغيل، مع تحليل مستمر للإشارات الأمنية القادمة من EDR وMDM وZTNA.
فمثلًا، إذا فقد مهندس إذن الوصول الكامل عبر CrowdStrike، فإن الوكيل يوقف وصوله فورًا إلى البيانات الحساسة إلى حين تصحيح وضع الجهاز.
